Riktlinje för riskhantering

KOMMUNLEDNINGSKONTORET Riktlinje för riskhantering Ett normerande dokument som kommunstyrelsen fattade beslut om 14 september 2016

Dokument-ID Dokumentnamn Fastställd av Gäller från Sida Riktlinje för riskhantering Kommunstyrelsen 2016-09-14 1 (7) Diarienummer Berörd verksamhet Dokumentansvarig Reviderad KSN-2016-1119 Alla nämnder och kommunala bolag Ekonomidirektör Innehållsförteckning Riktlinje för riskhantering... 2 Inledning... 2 Syfte... 3 Omfattning... 3 Riskhantering i Uppsala kommun... 3 Fördjupad bakgrund... 3 Definitioner och begrepp... 4 Riskkategorier... 5 Ansvarsfördelning... 6 Lagbestämmelser och krav... 6 Kvalitetskrav... 6 Spridning av riktlinje... 7 Uppföljning... 7 Relaterade dokument... 7 Postadress: Uppsala kommun, kommunledningskontoret, 753 75 Uppsala Telefon: 018-727 00 00 (växel) E-post: kommunledningskontoret@uppsala.se www.uppsala.se

2 (7) Riktlinje för riskhantering Inledning Uppsala kommun förutsätts ha en god kontroll på sina verksamheter, dels för att se till att lagar och andra regelverk efterlevs, och dels för att säkerställa att tillgångar förvaltas och hanteras säkert. Att skyddet mot olika risker fungerar handlar ytterst om allmänhetens förtroende för kommunal verksamhet. En systematisk riskhantering är grunden i ett effektivt arbete för kontroll av olika risker som kan påverka Uppsala kommuns verksamheter. Riskhantering behövs för att upptäcka och i förekommande fall motverka olika risker som kan hota Uppsala kommuns möjligheter att nå sina mål. Riskhantering kan också ge viktigt underlag för verksamhetsutveckling. Riskhantering omfattar stegen riskidentifiering, riskanalys, riskvärdering, riskbehandling och uppföljning av riskbehandling. Följande figur ger en övergripande bild av riskhanteringen: Etablering av kontexten (vilket område analyseras) Riskbedömning Riskanalys Risk identifiering Riskkommunikation/ riskrapportering Riskanalys (Bedömning av sannolikhet och konsekvens) riskvärdering Nej Riskuppföljning och granskning Ja Riskbehandling Nej Ja Riskacceptans Bild 1: Riskhantering

3 (7) Syfte Syftet med riktlinjen är att ge gemensamma utgångspunkter för arbetet med riskhantering inom kommunen och att säkra kvaliteten i detta arbete. Gemensamma utgångspunkter ger förutsättningar för ökad kunskap och kompetens avseende riskhantering. Riktlinjen beskriver därför övergripande hur Uppsala kommun ska arbeta för att identifiera, analysera, värdera, åtgärda och rapportera risker. Omfattning Denna riktlinje omfattar allt arbete med riskhantering som sker inom Uppsala kommun oavsett sammanhang och metod eller om verksamheten bedrivs av nämnd eller bolagsstyrelse. Om riktlinjen i något fall skulle komma i konflikt med krav som ställs på riskhantering i någon författning, så gäller författningen. Riskhantering i Uppsala kommun Fördjupad bakgrund Risker ska hanteras inom många av kommunens verksamheter och på många olika nivåer. I många fall sker riskhanteringen regel- och lagbundet medan den i andra fall sker vid behov. En av de viktigare riskhanteringarna i kommunen är den som ingår i mål- och budgetprocessen och den årliga verksamhetsplaneringen för nämnder och styrelser. Viktig riskhantering sker även närmare kärnverksamheten. Beroende på vilken nivå och i vilket skede riskhanetringen genomförs, kommer olika typer av risker att fokuseras. En riskhantering som genomförs högt upp i organisationen och inför beslut om hantering av långsiktiga utmaningar kommer antagligen att ha ett annat fokus än en riskhantering som t.ex. genomförs inför att en enhet ska planera hur den ska ta sig an ett uppdrag. En förteckning över vilken riskhantering som förekommer inom kommunen återfinns i Rutin för riskhantering. Här listas några av de viktigaste. Riskhantering avseende - Mål och budget samt verksamhetsplanering - Arbetsmiljö - Extraordinära händelser - Skydd mot olyckor - Miljörisker - Intern kontroll - Verksamhetsförändringar, t.ex. avseende organisation och IT - Säkerhetsfrågor, t.ex. avseende information Flera av dessa riskhanteringar kan bilda underlag till varandra. Riskhanteringen avseende extraordinära händelser är t.ex. betjänt av underlag från den riskhantering som sker enligt lagen för skydd mot olyckor. Resultat av den riskhantering som sker årligen på nämndnivå kan behöva spridas till andra delar av kommunen.

4 (7) Definitioner och begrepp Det finns olika modeller för riskhantering eller riskanalys. De begrepp som används inom olika modeller kan skilja sig åt. Följande definitioner används i denna riktlinje. Hot En oönskad händelse eller omständighet som kan ge negativa konsekvenser för verksamheten och dess möjligheter att utföra sitt uppdrag och att uppnå sina mål. Risk Möjligheten att ett hot eller annan oönskad händelse ska inträffa och de skadliga konsekvenserna därav. Risk mäts i termer av sannolikhet och konsekvens. Riskhantering En systematisk process för identifiering och behandling av risker och som syftar till att verksamhetens uppdrag uppnås. I processen ingår följande delmoment. - förberedelser, - riskidentifiering, - riskanalys, - riskvärdering - riskbehandling, och - uppföljning Riskidentifiering Ett arbete som syftar till en kunskapsbaserad identifiering av risker i verksamheten. Riskanalys En grundlig beskrivning av risk, av dess orsaker, egenskaper och av vilka konsekvenser den kan få för verksamheten och dess måluppfyllelse. Riskanalysen beskriver vilken påverkan risken får på verksamheten. Riskvärdering Gradering av de identifierade riskernas sannolikhet och konsekvens. - Sannolikheten för att en oönskad händelse kan inträffa alternativt frekvensen av oönskade händelser, och - konsekvenserna för verksamheten. Riskbehandling Utifrån de aktuella förutsättningarna som gäller för Uppsala kommuns uppdrag bedöms risktolerans (om risker är acceptabla eller oacceptabla), vilka risker som ska prioriteras för åtgärd och hur dessa ska behandlas. Utifrån värderingen tas beslutsunderlag fram.

5 (7) Riskkategorier Det finns olika sätt att kategorisera risker. Kategorier kan vara ett stöd för att analysera (om)världen och för att upptäcka och fånga upp risker. Uppsala kommun har valt fyra olika övergripande kategorier; strategiska, operativa och finansiella risker samt efterlevnadsrisker. Riskkategorierna kan i sin tur indelas i underkategorier. Vilka underkategorier som är relevanta kommer att påverkas av det verksamhetsområde som riskhanteringen avser samt på vilken nivå och i vilket skede den genomförs. Strategiska risker De strategiska riskerna karaktäriseras främst av att de är risker som påverkas av yttre faktorer och omvärldsförändringar som Uppsala kommun som organisation endast har ett begränsat inflytande över, t.ex. demografiska förändringar. Exempel på underkategorier är: - Omvärldsrisker - Miljörisker, t.ex. kopplat till klimatförändringar som värmeböljor, översvämningar - Krig och flyktingströmmar - Social oro - Politiska beslut utanför kommunen - Infrastrukturella risker - Risk för olyckor, t.ex. utsläpp och brand Operativa risker Operativa risker avser risker relaterade till effektiviteten i verksamheten. Dessa risker är framförallt interna. Exempel på områden som operativa risker kopplas till är IT-system, säkerhet och produktion av varor och tjänster. Exempel på risker kan vara avbrott i olika system och skador på utrustning. Exempel på underkategorier är: - IT-baserade risker - Risk för handhavandefel - Säkerhetsrisker i tjänsteutövningen - Organisation, ledning och styrning Finansiella risker Finansiella risker avser både externa risker såsom valuta-, ränte- och kreditrisker och interna risker, relaterade till styrning och kontroll av den finansiella verksamheten. Exempel på underkategorier är: - Redovisningsrisker - Risk för handhavandefel Efterlevnadsrisker Kommunen ska följa gällande författningar och interna styrdokument. Efterlevnadsrisker avser risker relaterade till att regelverken inte följs. Exempel på underkategorier är: - Legala risker - Rättssäkerhet - Risker för förtroendeskada - Mutor och jäv

6 (7) Ansvarsfördelning Ansvaret för att risker hanteras följer verksamhetsansvaret som det framgår av Reglementet för kommunstyrelsen och övriga nämnder i Uppsala kommun, bolagsordningarna, delegationsordningarna och Mål och budget. Vidare ansvarar projektägare för riskhantering inom avgränsade projekt. Kommunledningskontoret ansvarar för att ta fram och uppdatera rutiner för riskhantering och för att följa upp arbetet med riskhantering inom kommunen. Direktörer inom bolag och förvaltningar ansvarar för att risker avseende genomförandet av uppdrag och uppfyllandet av mål identifieras och hanteras. Riskhanteringen ska identifiera de risker som kan hindra måluppfyllelsen inom verksamheten. Lagbestämmelser och krav Arbetet med riskhantering regleras i ett antal författningar. Ofta säger författningen endast att riskhantering ska ske men i en del fall uttrycks även krav på riskhanteringen som sådan. Ansvarig för verksamheten ska ha kännedom om relevanta författningar och se till att dessa följs. När det gäller riskhantering inom arbetet med Mål och budget och nämndernas och bolagsstyrelsernas verksamhets-, affärs- och internkontrollplaner, se även Riktlinje för nämndernas och bolagsstyrelsernas verksamhetsplanering och uppföljning samt interna kontroll. Kvalitetskrav Denna del formulerar kvalitetskrav på riskhanteringen i Uppsala kommuns. Kraven syftar till att kvalitetssäkra arbetet med att hantera risker och hot mot genomförandet av Uppsala kommuns uppdrag och kommunens måluppfyllelse. Förberedande åtgärder - Syftet med riskhanteringen ska beskrivas noggrant. Det ska tydligt framgå varför riskhanteringen genomförs och i vilket sammanhang resultaten ska användas. - Området som riskhanteringen gäller ska vara tydligt avgränsat. - Tänkbara riskkategorier ska definieras. - Val av metod för riskhanteringen ska motiveras. Genomförande - Riskhanteringen ska genomföras vid bästa möjliga tidpunkt. - Den grupp som genomför riskhanteringen ska vara sammansatt av personer som har relevant kännedom om det område som riskhanteringen avser. Ibland kan detta betyda att gruppen ska vara sammansatt av personer från olika organisatoriska delar och/eller med olika roller. - Den person som leder arbetet med riskhanteringen ska ha kompetens för detta och ska sträva efter att förhålla sig objektivt i förhållande till det område som riskhanteringen avser. - Det underlag som används vid identifiering och analys av risker ska vara relevant och täcka in nödvändiga och tillräckliga delar av det område som riskhanteringen avser. - I riskbehandlingen ska val av åtgärder motiveras.

7 (7) Dokumentation - Riskhanteringen ska dokumenteras. - Dokumentationen ska vara tydlig och kunna förstås av personer som inte deltagit i arbetet. - Läsaren ska genom dokumentationen kunna följa en risk från identifiering till behandling. - Om inte sekretesskäl föreligger, ska dokumentationen av riskhanteringen kommuniceras till andra som kan ha nytta av den. Behandling av resultat - Resultatet av riskhanteringen ska ligga till grund för beslut inom det område som riskhanteringen avser. Uppföljning - Planer som är kopplade till de risker som identifierats, värderats och bedömts som väsentliga ska följas upp. - Resultatet av dessa uppföljningar ska dokumenteras och kommuniceras till andra som kan ha nytta av att känna till det. Spridning av riktlinje Direktörerna ansvarar för att innehållet i denna riktlinje är känt inom respektive verksamhet och för att förvaltningar eller bolag stöttar nämnder och bolagsstyrelser i arbetet med riskhantering i enlighet med denna riktlinje. Uppföljning Kommunledningskontoret följer årligen upp det arbete med riskhantering som skett inom mål- och budgetprocessen. Även övrigt arbete med riskhantering inom kommunen följs upp regelbundet. Syftet är dels att, vid behov, revidera riktlinjerna och dels att rapportera till kommunstyrelsen utifrån kommunstyrelsens uppsiktsplikt över nämnderna och styrelserna. Relaterade dokument 1. Rutin för riskhantering 2. Mall för riskregister inom mål- och budgetprocessen 3. Riktlinje för nämndernas och bolagsstyrelsernas verksamhetsplanering och uppföljning samt interna kontroll 4. Nämndernas verksamhetsplaner och budgetar 5. Bolagsstyrelsernas affärsplaner 6. Riktlinje för styrdokument